CVE-2022-37042

Critica9.8Pubblicata il 12 agosto 2022

Zimbra Collaboration Suite (ZCS) 8.8.15 e 9.0 dispone della funzionalità mboximport che riceve un archivio ZIP ed estrae i file da esso. Aggirando l'autenticazione (cioè senza disporre di un authtoken), un attaccante può caricare file arbitrari sul sistema, portando a directory traversal e remote code execution. NOTA: questo problema esiste a causa di una correzione incompleta per CVE-2022-27925.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 11 ago 2022
Le agenzie federali statunitensi devono correggerla entro il 1 set 2022 (direttiva BOD 22-01)
Attaccata 3 giorni prima che la vulnerabilità fosse resa pubblica
Confermata dai sensori, non solo da segnalazioni
Usata in campagne ransomware

Apply updates per vendor instructions.

Fonte: CISA KEV · 6 set 2026 5 set 2026 4 set 2026 3 set 2026 2 set 2026 1 set 2026

Punteggio CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-22, CWE-22

Vendorsynacor